Sécurité IA SaaS / Méthode d'évaluation
Rendre la portée et les preuves inspectables.
Cette méthode prend en charge notre Audit de sécurité IA SaaS. La portée de la mission identifie les tests, l'accès, les preuves et les livrables applicables. Cette page est une description du processus, et non une évaluation d'un produit.
1. Convenez des limites avant de tester
Enregistrez la version du produit, l'environnement, les domaines cibles et les API, la configuration du modèle, les comptes autorisés et les systèmes tiers. Obtenez une autorisation écrite et acceptez les fenêtres de test, les conditions d'arrêt, le traitement des données et les contacts d'escalade.
Utilisez des données synthétiques ou approuvées et des tests limités. L'infrastructure tierce nécessite sa propre autorisation, le cas échéant. La révision du code, la révision de la configuration, les tests d'application et l'évaluation de l'IA sont inclus uniquement comme convenu ; les composants inaccessibles restent une limitation explicite.
2. Séparer les observations des déclarations
- Testé : Une entrée enregistrée, un environnement, une configuration et un résultat observé soutiennent la découverte.
- Révisé : Le code, les paramètres ou les documents permettent une conclusion plus étroite dans le cadre de l'accès disponible.
- Déclaré : un fournisseur ou un propriétaire de produit déclare une pratique que Rubrex ne pouvait pas inspecter de manière indépendante.
- Non évalué : le chèque a été exclu, indisponible ou non concluant. Il ne doit pas être signalé comme une réussite.
Pour une réclamation d'utilisation de formation, identifiez les données, le fournisseur, la configuration du compte, les conditions et la période couvertes par les preuves. Une révision des paramètres ne peut pas établir chaque action interne d’un fournisseur externe.
3. Prioriser, corriger et retester
Hiérarchisez les résultats en fonction de l'impact démontré, des utilisateurs ou des données concernés, des conditions préalables et de l'environnement évalué. Conservez les preuves originales et enregistrez le correctif, les conditions de nouveau test, le résultat et l'incertitude restante. Un risque accepté reste visible en tant que risque accepté.
Évaluer la qualité séparément à l’aide de cas de référence et de critères de notation convenus. Signalez la couverture des échantillons et les limites connues au lieu de convertir un petit ensemble de tests en une déclaration de précision universelle.
Aperçu du rapport illustratif / Audit non terminé
Ce que contient un rapport d'évaluation
Ce schéma montre la structure prévue. Il ne contient aucun résultat client, aucun produit évalué ou badge de réussite.
- Résumé : la décision appuyée, les conclusions importantes et les prochaines actions.
- Portée : version du produit, environnement, dates, cibles autorisées, critères et exclusions.
- Carte du flux de données : entrée client → application → récupération ou outils → fournisseur de modèles → sortie, avec journaux, analyses, chemins de stockage, de conservation et de suppression identifiés.
- Recherche d'enregistrements : identifiant, composant affecté, type de preuve, comportement attendu par rapport au comportement observé, impact, justification de la gravité et mesures correctives.
- Résultats de l'évaluation : cas, méthode de notation, résultats de qualité et limites de couverture.
- Retester l'enregistrement : version mise à jour, vérifications répétées, résultats et problèmes non résolus.
- Résumé public, si convenu : Déclarations prises en charge dont les détails d'implémentation sensibles ont été supprimés.
Les détails de reproduction, les secrets et les informations susceptibles de révéler les clients appartiennent au rapport technique restreint, et non à une page de badge publique.
Exigences pour tout badge d'évaluation Rubrex
Le libellé proposé pour le badge est « Pratiques de sécurité et de données évaluées par Rubrex ». Un badge n'est pas délivré simplement parce qu'une évaluation a été achetée. La délivrance nécessite un examen complété et un dossier de vérification publié.
- L’autorité du propriétaire du produit et le produit/domaine évalué doivent être vérifiés.
- Les contrôles requis et les critères de réussite doivent être convenus avant que les résultats ne soient connus. Les chèques requis ne peuvent pas être supprimés silencieusement pour obtenir un laissez-passer.
- Des résultats critiques ou de haute sécurité non résolus empêchent l'utilisation d'un badge actif. Les autres conclusions et exclusions doivent être divulguées à un niveau sûr.
- Chaque affirmation relative à la pratique des données publiques doit être appuyée par des preuves et une limite clairement indiquée. Les réclamations non étayées sont omises.
- La remédiation doit être retestée si nécessaire avant que l’éligibilité soit confirmée. Les résultats de l’IA ou du scanner ne constituent pas à eux seuls une preuve suffisante.
- Tout travail d'ingénierie Rubrex sur le produit évalué doit être divulgué. L’évaluation ne peut pas impliquer une indépendance par rapport au travail que nous avons effectué.
Un badge doit être lié à un enregistrement en cours
L'enregistrement de vérification doit identifier le produit et le domaine, l'ID d'évaluation, la portée, la version évaluée, les dates, le résumé des preuves, les limitations, l'expiration et le statut. Toute personne visualisant un badge doit pouvoir vérifier cet enregistrement sur rubrex.ai.
La validité est limitée à la portée et à l'expiration indiquées. Les modifications apportées aux fournisseurs, aux flux de données, à l'autorisation, aux outils de modèle ou à d'autres contrôles évalués nécessitent un examen des réclamations concernées. Une évaluation expirée, suspendue ou révoquée ne peut pas être affichée comme active. Le renouvellement nécessite de nouvelles preuves, pas seulement un changement de date.
Le badge n'établit pas SOC 2, certification ISO, conformité légale, zéro vulnérabilité ou qu'un produit ne traite jamais de données client. Une évaluation est une preuve limitée du système testé, et non une promesse concernant chaque demande future.
Si vous devez vérifier une évaluation Rubrex revendiquée, envoyez l'URL du produit et l'ID d'évaluation à evals@rubrex.ai. N’envoyez pas de rapports ou d’informations d’identification privés via le formulaire de contact public.
Références utilisées pour définir le périmètre
Ces sources éclairent la conception de l’évaluation. Ils ne certifient pas Rubrex ou un produit évalué. Le rapport doit lister les versions et les exigences applicables effectivement vérifiées.
- Norme de vérification de la sécurité des applications OWASP 5.0.0: une référence pour les exigences de sécurité des applications.
- OWASP Top 10 pour les applications LLM et GenAI: une référence pour la couverture des risques des applications modèles.
- OWASP Top 10 pour les applications agentiques: une référence pour le comportement des agents, les outils et les limites de privilèges.